Sécurité et Windows Server 2003

SP1 et R2

Sécurité et Windows Server 2003

SP1 et R2

Stephane Saunier

Fabrice Meillon

Microsoft France

Objectifs

Proposer une vue d’ensemble des Proposer une vue d’ensemble des nouveautés liées à la sécurité nouveautés liées à la sécurité introduites dans Windows Server introduites dans Windows Server 2003 SP12003 SP1

Cette session ne traite pas de Cette session ne traite pas de l’ensemble des nouveautés liées au l’ensemble des nouveautés liées au SP1SP1

Version Version majeuremajeure

Version Version majeuremajeure

Version Version mineuremineure

~ 4 ans

~ 2 ans

Phase principal de supportPhase principal de support Support EtenduSupport Etendu

Au minimum 5 ansMin. 5 ans à partir de la version majeure

Cycle de disponibilité des versions Windows Server

Version Version majeuremajeure

VersionVersionmineuremineure

http://www.microsoft.com/windowsserver2003/evaluation/overview/roadmap.mspx

Windows Server 2003 “R2”Qu’est-ce que c’est ?

R2 est la dernière version de Windows R2 est la dernière version de Windows Server 2003Server 2003

Une nouvelle version particulière (1Une nouvelle version particulière (1erer version mineure) :version mineure) :

Base = WS2003 SP1Base = WS2003 SP1Même compatibilité des applications, même Même compatibilité des applications, même qualité, même stabilité et performance qualité, même stabilité et performance Composants nouveaux installés Composants nouveaux installés optionnellementoptionnellement

Gestion du stockageGestion du stockageGestion de l’identité et des accèsGestion de l’identité et des accèsGestion des réseaux d’agencesGestion des réseaux d’agences

Les Services Packs à venir seront applicables Les Services Packs à venir seront applicables sur Windows Serveur 2003 GOLD et R2.sur Windows Serveur 2003 GOLD et R2.

En savoir plus sur Windows 2003 R2

Gestion des identités Christophe Dubos & Philippe Christophe Dubos & Philippe Béraud,Béraud,Microsoft FranceMicrosoft France

Fédération des identités numériques (ADFS - partie 1 et partie 2)

Philippe Béraud, Microsoft FrancePhilippe Béraud, Microsoft France

Service Pack 1 pour Windows 2003 Challenges clés pour nos clientsSécurité Sécurité

Pouvoir sécuriser de façon simple leurs serveursPouvoir sécuriser de façon simple leurs serveurs

Etre de mesure de lutter contre les attaques réseau dès Etre de mesure de lutter contre les attaques réseau dès l’installationl’installation

Etre en mesure de faire face aux prochaines attaques Etre en mesure de faire face aux prochaines attaques

RobustesseRobustesseMinimiser les interruptions réseauMinimiser les interruptions réseau

PerformancePerformanceSécuriser sans impacter les performancesSécuriser sans impacter les performances

Pour Microsoft, au travers du SP1Poursuivre l’effort l’Informatique de confiance

Sécurité amélioréeSécurité amélioréeRéduction de la surface d’attaqueRéduction de la surface d’attaqueNouvelles améliorations de la sécuritéNouvelles améliorations de la sécurité

Configuration par défaut plus sûre et réduction des Configuration par défaut plus sûre et réduction des privilèges des services : RPC, DCOMprivilèges des services : RPC, DCOMSupport du matériel « No Execute » : Intel, AMDSupport du matériel « No Execute » : Intel, AMDPare-feu Windows : nouveau scénario d’installationPare-feu Windows : nouveau scénario d’installationAssistant Configuration de la Sécurité (SCW) : Assistant Configuration de la Sécurité (SCW) : configuration et « verrouillage » par rôleconfiguration et « verrouillage » par rôleAudit de la Audit de la metabasemetabase IIS 6.0 IIS 6.0

Fiabilité amélioréeFiabilité améliorée

Performances amélioréesPerformances amélioréesAmélioration 10%+ pour TPC, TPC-H, SAP, SSL, Amélioration 10%+ pour TPC, TPC-H, SAP, SSL, etc…etc…

Mise à jour de sécurité post installation pour Windows Server (PSSU – Post-Setup Security Updates)(PSSU – Post-Setup Security Updates)

Conçue pour sécuriser les serveurs après leur Conçue pour sécuriser les serveurs après leur installation (premier démarrage) et avant installation (premier démarrage) et avant l’application des derniers correctifs de sécuritél’application des derniers correctifs de sécurité

Lancement au premier administrateur ouvrant Lancement au premier administrateur ouvrant une session si le pare feu Windows n’a pas été une session si le pare feu Windows n’a pas été explicitement activé dans le script d’installation explicitement activé dans le script d’installation sans assistance ou les stratégies de groupesans assistance ou les stratégies de groupe

Bloques les connexions entrantes jusqu’au Bloques les connexions entrantes jusqu’au clique sur “Terminer”clique sur “Terminer”

Mises à jour de sécurité post-installation pour Windows Server

Lien vers Windows UpdateLien vers Windows Update

Possibilité de configurer les mises à jour Possibilité de configurer les mises à jour automatiques (Auto Update)automatiques (Auto Update)

Ré-exécuté si non terminé au premier Ré-exécuté si non terminé au premier redémarrageredémarrage

En cas de fermeture forcée (Alt+F4), aucun En cas de fermeture forcée (Alt+F4), aucun changement n’est appliqué au pare-feu, PSSU changement n’est appliqué au pare-feu, PSSU sera ré-exécuté au prochain logon sera ré-exécuté au prochain logon administrateuradministrateur

Mise à jour de sécurité

post-installation

Mise à jour de sécurité

post-installation

Assistant Configuration de la sécurité (SCW)

La sécurité doit être appliquée mais La sécurité doit être appliquée mais construire son propre modèle n’est pas si construire son propre modèle n’est pas si simple pour beaucoupsimple pour beaucoupObjectif de l’assistant : Aider les Objectif de l’assistant : Aider les administrateurs dans la réduction de la administrateurs dans la réduction de la surface d’attaque des serveurs Windows en surface d’attaque des serveurs Windows en tenant compte des rôles du serveurtenant compte des rôles du serveurComposant optionnel de Windows Server Composant optionnel de Windows Server 20032003Simple et fonctionnelSimple et fonctionnel

Simple d’utilisation, basé sur des Simple d’utilisation, basé sur des questions/réponsesquestions/réponsesAutomatique en regard des guides papiersAutomatique en regard des guides papiersEntièrement testé et Entièrement testé et supportésupporté par Microsoft par Microsoft

Assistant Configuration de la Sécurité

Réduction de la surface d’attaque pour les Réduction de la surface d’attaque pour les serveurs Windowsserveurs Windows

Basé sur des modèles Basé sur des modèles des rôles des rôlesDésactive les services non nécessairesDésactive les services non nécessairesDésactive les Extensions Web IIS non nécessairesDésactive les Extensions Web IIS non nécessairesBloque les ports non utilisés, y compris sur les Bloque les ports non utilisés, y compris sur les systèmes à plusieurs cartes réseausystèmes à plusieurs cartes réseauAide la sécurisation des ports laissés ouverts par Aide la sécurisation des ports laissés ouverts par IPsecIPsecRéduit l’exposition des protocoles (signature Réduit l’exposition des protocoles (signature LDAP LDAP & SMB, Compatibilité Lan Man et LMHash…)& SMB, Compatibilité Lan Man et LMHash…)Configure l’audit (SACLs)Configure l’audit (SACLs)Possibilité d’importer des modèles SCE (inf)Possibilité d’importer des modèles SCE (inf)

Fichiers xmlFichiers xml

Assistant Configuration de la sécurité

Assistant Configuration de la sécurité

Opérations liées à SCW

Retour en arrièreRetour en arrièreAnalyse, pour vérifier la conformité des Analyse, pour vérifier la conformité des machines par rapport aux stratégiesmachines par rapport aux stratégiesConfiguration et analyse à distanceConfiguration et analyse à distance

Interface graphiqueInterface graphiqueLigne de commande pour configuration et analyse à Ligne de commande pour configuration et analyse à distance et en masse (scwcmd.exe)distance et en masse (scwcmd.exe)

Intégration à Active Directory pour un Intégration à Active Directory pour un déploiement par stratégies de groupedéploiement par stratégies de groupePossibilité d’éditer les stratégies créées, lorsque Possibilité d’éditer les stratégies créées, lorsque les machines sont réaffectéesles machines sont réaffectéesVues XSL de la Base de Connaissances, des Vues XSL de la Base de Connaissances, des stratégies et des résultats d’analysestratégies et des résultats d’analyse

Néanmoins limité ex: SCW et IPsec

Sécurité au niveau portSécurité au niveau portCréer des restrictions de sécurité sur le trafic Créer des restrictions de sécurité sur le trafic réseau TCP ou UDP entrant pour chaque port, en réseau TCP ou UDP entrant pour chaque port, en fonction de l'adresse IP d'où provient le trafic. fonction de l'adresse IP d'où provient le trafic.

IPSec nécessite une configuration par machineIPSec nécessite une configuration par machine

SCW permet une configuration avec la règle par défaut SCW permet une configuration avec la règle par défaut pour les clients (Accepter le trafic entrant non signé et pour les clients (Accepter le trafic entrant non signé et non crypté)non crypté)

SCW ne crée pas de stratégies IPSec SCW ne crée pas de stratégies IPSec “évoluées”“évoluées”

Communications DC-vers-DCCommunications DC-vers-DC

Segmentation réseauSegmentation réseau

QuarantaineQuarantaine

Configuration et Analyse de la Sécurité (SCE)

SCE vs SCWChoisir le bon outilChoisir le bon outil

Appliquer une configuration génériqueAppliquer une configuration génériqueUtiliser les guides et l’outil Configuration et Analyse de la SécuritéUtiliser les guides et l’outil Configuration et Analyse de la Sécurité (SCE)(SCE)

Créer une configurationCréer une configurationUtiliser l’un ou l’autreUtiliser l’un ou l’autreSCW est plus flexible et couvre plus d’optionsSCW est plus flexible et couvre plus d’options

Comprendre les paramètres Comprendre les paramètres Utiliser les guides et la documentation de SCWUtiliser les guides et la documentation de SCW

Possibilité d’inclure des modèles SCE dans une Possibilité d’inclure des modèles SCE dans une stratégie SCWstratégie SCW

Paramètres d’audit personnalisésParamètres d’audit personnalisésPersonnalisation des permissions DACLs and SACLsPersonnalisation des permissions DACLs and SACLsParamètres non couverts par SCWParamètres non couverts par SCW

SCE vs SCWLes + de SCW Les + de SCW

Couvre plus de domaineCouvre plus de domaine

Moins de risque “de détruire” le systèmeMoins de risque “de détruire” le système

Les stratégies seront mieux optimiséesLes stratégies seront mieux optimisées

Directement utilisable à distanceDirectement utilisable à distance

Moins de connaissance requiseMoins de connaissance requise

Possibilités d’extensionPossibilités d’extension

Meilleur support du retour arrièreMeilleur support du retour arrière

Les + de SCELes + de SCEPlus flexiblePlus flexible

Plus facile de personnaliser les paramètres individuelsPlus facile de personnaliser les paramètres individuels

Directement utilisable par les stratégies de groupeDirectement utilisable par les stratégies de groupe

Réseau : pare-feu, DCOM, RPC…Pare-feu WindowsPare-feu Windows

Configuration : Stratégies de groupes, ligne de Configuration : Stratégies de groupes, ligne de commande, installation silencieusecommande, installation silencieuseProtection au démarrageProtection au démarrageConfiguration selon le rôle du serveurConfiguration selon le rôle du serveur

Protection de RPC/DCOMProtection de RPC/DCOMObjets RPC exécutés avec des privilèges réduitsObjets RPC exécutés avec des privilèges réduitsNouvelles clés de registre RPCNouvelles clés de registre RPC

Permet aux applications serveurs de restreindre l’accès Permet aux applications serveurs de restreindre l’accès aux interfacesaux interfaces

Restrictions d’accès DCOM complémentairesRestrictions d’accès DCOM complémentairesModèle d’authentification renforcéModèle d’authentification renforcéRéduction globale du risque lié aux attaquesRéduction globale du risque lié aux attaques

Les ports RPC et DCOM sont gérés comme un Les ports RPC et DCOM sont gérés comme un cas particulier par le pare-feu Windowscas particulier par le pare-feu Windows

Pièces jointes : OE, IE, IM…

Nouvelle API publique pour gérer les Nouvelle API publique pour gérer les attachements sans danger (attachements sans danger (Attachment Attachment Execution ServiceExecution Service))

Par défaut, on ne fait pas confiance aux Par défaut, on ne fait pas confiance aux attachements dangereuxattachements dangereux

Outlook Express, Windows Messenger, IE Outlook Express, Windows Messenger, IE modifiés pour utiliser la nouvelle API modifiés pour utiliser la nouvelle API

Ouvrir / exécuter les attachements avec le Ouvrir / exécuter les attachements avec le moins de privilège possiblemoins de privilège possible

Prévisualisation sans danger des messagesPrévisualisation sans danger des messages

Navigation Web

Verrouiller les zones local machine et local Verrouiller les zones local machine et local intranetintranetAméliorer les notifications lors de Améliorer les notifications lors de l’exécution ou de l’installation de contrôles l’exécution ou de l’installation de contrôles et d’applications ActiveXet d’applications ActiveXDésarmer les attaques en cross domain Désarmer les attaques en cross domain script sur les APIscript sur les APILimitation de l’usurpation d’interface Limitation de l’usurpation d’interface utilisateurutilisateurSuppression des fenêtres de pop-up sauf si Suppression des fenêtres de pop-up sauf si elles sont lancées par une action elles sont lancées par une action utilisateurutilisateur

Réduction de la surface

d’attaque

Réduction de la surface

d’attaque

Réduire l’exposition à certains dépassement de mémoire tamponCertains services ou applications Certains services ou applications

gèrent de façon non correcte les gèrent de façon non correcte les messages malformés.messages malformés.

Un attaquant peut envoyer un Un attaquant peut envoyer un message avec des données dont message avec des données dont la taille est supérieure à celle la taille est supérieure à celle attendueattendue

Les données supplémentaires sont du Les données supplémentaires sont du code dangereux code dangereux

Le code dangereux est alors écrit Le code dangereux est alors écrit dans une zone de la mémoire ou il dans une zone de la mémoire ou il est exécuté.est exécuté.

En savoir plus…En savoir plus…

Protection contre les Buffer Overflow Compilation avec /GS

Sens croissant des adresses

Buffers Autres vars

EB

P

EIP Args

Une pile normale

Buffers Autres vars

EB

P

EIP Args

cookie

Pile VC++ 2002 (avec /GS)

BuffersAutres vars

EB

P

EIP Args

cookie

Pile VC++ 2003 (avec /GS)

Ecrire du code sécurisé : un regard sur les bonnes pratiques d'implémentation

Eric Mittelette & Eric Vernié, Eric Mittelette & Eric Vernié, Microsoft FranceMicrosoft France

Visual Studio 2005 et sécurité Eric Vernie & Eric Mittelette, Microsoft Eric Vernie & Eric Mittelette, Microsoft FranceFrance

En savoir plus

Ne permettre l’exécution de code en mémoire que Ne permettre l’exécution de code en mémoire que dans des régions spécifiquement marquées comme dans des régions spécifiquement marquées comme executeexecute

Prévention exécution de données matérielPrévention exécution de données matérielNécessite le support du processeur contre l’exécution (NX : No Nécessite le support du processeur contre l’exécution (NX : No Execute ou XD : Execute Disable) (AMD64 / Itanium /Intel EMT)Execute ou XD : Execute Disable) (AMD64 / Itanium /Intel EMT)

Prévention exécution de données logicielPrévention exécution de données logicielApplicable pour n’importe quel processus s’exécutant sur l’OS Applicable pour n’importe quel processus s’exécutant sur l’OS

Activé par défaut pour les binaires Windows.Activé par défaut pour les binaires Windows.

ConfigurationConfigurationBoot.ini switch “Boot.ini switch “/noexecute=/noexecute=PolicyLevelPolicyLevel” ”

OptInOptIn / OptOut / AlwaysOn / AlwaysOff / OptOut / AlwaysOn / AlwaysOff

Configuration graphique possible au travers des options de Configuration graphique possible au travers des options de performancesperformances

Prévention de l’exécution des données

Prévention de l’exécution des données

Impact sur les applications

Pas de code dynamiqueAssurez-vous que votre application n’exécute par de code dans un segment de donnéesAssurez-vous que vos applications et drivers supporte le mode PAEUtiliser les instructions valides pour que votre code fonctionneTester votre code sur des processeurs 64 bit et 32 bits en mode PAE avec protection de l’exécution

Windows Server 2003 SP1Quelques autres nouveautés

Access-based EnumerationAccess-based Enumeration – ne montrer aux – ne montrer aux utilisateurs que les fichiers et répertoires utilisateurs que les fichiers et répertoires auxquels ils ont accès. Outil de configuration :auxquels ils ont accès. Outil de configuration :http://go.microsoft.com/?linkid=2726554

Audit de la metabase IISAudit de la metabase IIS

RRAS : support des outils de quarantaine (rqc/rqs)RRAS : support des outils de quarantaine (rqc/rqs)

Terminal Services : utilisation de SSL/TLS 1.0 Terminal Services : utilisation de SSL/TLS 1.0 pour l’authentification du serveur et le pour l’authentification du serveur et le chiffrement (client RDP 5.2 sur Windows 2000, chiffrement (client RDP 5.2 sur Windows 2000, XP, 2003)XP, 2003)What’s New in TSWhat’s New in TS : : http://go.microsoft.com/?linkid=2700421

http://support.microsofot.com/kb/895433

Access Based Enumeration

Access Based Enumeration

Terminal Services

Authentification du serveur

et chiffrement

Terminal Services

Authentification du serveur

et chiffrement

Mais le SP1 c’est aussi :

Mise à jour d’ADPREP (Sysvol)Mise à jour d’ADPREP (Sysvol)Installation depuis un media (DNS)Installation depuis un media (DNS)Evolution DCdiag (tests DNS)Evolution DCdiag (tests DNS)Ntdsutil (suppression des DCs) Ntdsutil (suppression des DCs) FSMO : status et ID EventsFSMO : status et ID EventsRestreindre l’accès sur certains attributsRestreindre l’accès sur certains attributsRappel pour les sauvegardes des partitions d’ADRappel pour les sauvegardes des partitions d’ADSupport pour la virtualisation des DCsSupport pour la virtualisation des DCsDrag and Drop dans la mmc Utilisateurs et Drag and Drop dans la mmc Utilisateurs et ordinateurs Active Directoryordinateurs Active Directory

http://www.microsoft.com/technet/downloads/winsrvr/servicepacks/sp1/default.mspx

Déployer le SP1

Tester, tester, tester !! Tester, tester, tester !! Valider le bon fonctionnement de vos applications Valider le bon fonctionnement de vos applications sur le serveur après mise à niveau vers le SP1sur le serveur après mise à niveau vers le SP1

Méthode de déploiementMéthode de déploiementMise à jour – systèmes existantsMise à jour – systèmes existants

Installation intégrée (Installation intégrée (slipstreamslipstream) – nouveaux ) – nouveaux systèmessystèmes

Windows Server 2003 SP1 Blocker Tool KitWindows Server 2003 SP1 Blocker Tool Kithttp://www.microsoft.com/windowsserver2003/evaluation/news/bulletins/ws03sp1blockertool.mspx

Effectif jusqu’au 30 mars 2006 Effectif jusqu’au 30 mars 2006

Quelques retours d’expérience…

Vous ne pouvez pas exécuter l'Exchange Server Deployment Tools à Vous ne pouvez pas exécuter l'Exchange Server Deployment Tools à partir d'un partage réseau avec succès après avoir installé Windows partir d'un partage réseau avec succès après avoir installé Windows Server 2003 SP1 Server 2003 SP1 (897340)(897340)

Utilisateurs de Microsoft Outlook ne peuvent pas être en mesure après Utilisateurs de Microsoft Outlook ne peuvent pas être en mesure après vous le Security Configuration Wizard exécuté dans Windows Server vous le Security Configuration Wizard exécuté dans Windows Server 2003 SP1 à se connecter à leurs comptes 2003 SP1 à se connecter à leurs comptes (896742)(896742)

Clients VPN ne peuvent plus de ressources d'accès internes une fois que Clients VPN ne peuvent plus de ressources d'accès internes une fois que vous installez Windows Server 2003 Service Pack 1 sur un ordinateur qui vous installez Windows Server 2003 Service Pack 1 sur un ordinateur qui exécute ISA Server 2000 exécute ISA Server 2000 (897651)(897651)Espace disque minimal requis pour Windows Server 2003 Service Pack 1 Espace disque minimal requis pour Windows Server 2003 Service Pack 1 (892807)(892807)

Compatibilité Windows Server 2003 Service Pack 1 d'applications Compatibilité Windows Server 2003 Service Pack 1 d'applications (896367)(896367)

Prise en charge pour Windows Server 2003 SP1 sur dispositifs de serveur Prise en charge pour Windows Server 2003 SP1 sur dispositifs de serveur Windows Storage Server 2003-based Windows Storage Server 2003-based (894372)(894372)

Notes de publication pour Windows Server 2003 Service Pack 1 Notes de publication pour Windows Server 2003 Service Pack 1 (889101)(889101)

Quelques ressources utilesSP1 de Windows 2003www.microsoft.com/technet/prodtechnol/windowsserver2003/servicepack/default.mspx Windows 2003 R2http://www.microsoft.com/windowsserver2003/R2/overview/default.mspx

Site Sécuritéhttp://www.microsoft.com/france/securite

Séminaire Technet, Webcasts/e demos et Chatshttp://www.microsoft.com/france/technet/seminaires

Newsgroup : sécurité microsoft.public.fr.securite

Questions / Réponses